Sobre trafico mailicioso y como identificarlo

No se si mi interpretacion sobre lo q es trafico malicioso (mucho se habla
de codigo malicioso) sea correcta y tal vez sea un termino muy subjetivo y
amplio.

Entiendo por trafico malicioso aquel trafico que atenta contra el buen uso
del recurso afectando (rendimiento, timeouts, cuellos de botella, problemas
de protocolos, flooding) la comunicacion entre equipos/servicios sea cual
sea el origen. Por lo q leo pueden ser intencionados (virus, troyanos, ...)
como no intencionados (malas configuraciones/instalaciones, bugs, p2p,
"aceleradores" de descargas, ...)

He leido sobre analizadores y monitoreo de red, sniffers y utilidades como
el Microsoft Network Monitor o Ethereal entre otros, o los mismos Logs del
ISA pero una vez dentro de ellos me resulta dificil interpretar este tipo de
trafico.

Tambien he conversado con "conocedores" en la materia y siempre me
recomiendan ejecutar un analizador/monitoreo de red o un sniffer pero a la
pregunta de como interpretar estos datos me salen con una corta y una larga
sin aterrizar.

Es aqui donde agradezco puedan guiarme a como identificar trafico malicioso
en una LAN?

Tienen algun patron y/o caracteristica en comun (protocolo, puerto, tamaño,
...) o alguna pista q ayude a identificarlos?

Por supuesto cualquier comentario/sugerencia/recomendacion sera bienvenido.

Saludos y Gracias.